Opieka techniczna WordPress w Paryżu

Polski zespół, który utrzymuje WordPressa dla firmy w Paryżu, nie dokłada „jeszcze jednego abonamentu aktualizacji”. Utrzymuje serwis, który stoi obok landingów korporacyjnych w La Défense, stron produktowych fintechów z Station F, katalogów marek premium przy Champs-Élysées i formularzy demo pod VivaTech, na rynku, gdzie awaria landingu w tygodniu targów Porte de Versailles albo martwy formularz z polem SIRET po aktualizacji wtyczki to temat na rozmowę z działem prawnym i z dyrektorem operacyjnym, a nie tylko z marketingiem. Ta strona opisuje opiekę techniczną WordPressa właśnie w tym układzie: polski delivery, paryski kontekst korporacyjny, fintechowy i luxury, bez cennika i bez obietnic dostępności w procentach.

Szerszy opis produktu opieki, niezależny od miasta, jest na stronie opieki technicznej WordPress. Tu schodzimy do Paryża: La Défense, Station F, Porte de Versailles, VivaTech, RODO z francuską CNIL, pytanie o hosting w UE oraz dziennik incydentów, który da się pokazać przy audycie. Sklep WooCommerce z checkoutem francuskim to osobna ścieżka: programista WooCommerce w Paryżu. Budowa od zera albo przebudowa motywu idzie do programisty WordPress w Paryżu. Filary niezależne od miasta: programista WordPress i programista WooCommerce.

#Co oznacza opieka WordPress przy serwisie korporacyjnym, fintech albo luxury

Opieka to nie „włącz auto-update i miej nadzieję”. Dla landingu produktowego fintechu z Station F, portalu inwestorskiego korporacji z La Défense, strony kolekcji marki premium albo formularza demo pod VivaTech utrzymanie ma cztery twarde elementy: aktualizacje na kopii testowej, kopie zapasowe, które da się odtworzyć, WAF z sensownymi regułami oraz dziennik incydentów, który przeżyje pytanie audytora CNIL. Reszta - drobna zmiana w motywie, nowy blok Gutenberg pod kampanię w Porte de Versailles, poprawka Core Web Vitals na stronie z wideo hero - wisi na tym fundamencie. Bez niego kolejna wtyczka tylko powiększa powierzchnię ataku.

Serwis w Paryżu często zbiera dane, których nie wolno traktować jak treści bloga. Formularz B2B z polem SIRET w tygodniu VivaTech, newsletter z consent pod RODO, panel partnera z mapą dystrybutorów, formularz rezerwacji demo przed targami: każdy z tych ekranów po aktualizacji wtyczki potrafi się rozsypać ciszej niż strona główna. Dlatego regresja nie kończy się na „strona się ładuje”. Kończy się na ścieżce, którą klient B2B, inwestor albo partner transgraniczny naprawdę klika.

#Aktualizacje wyłącznie przez środowisko testowe

Rdzeń WordPress, wtyczki i motyw idą najpierw na środowisko testowe. środowisko testowe ma ten sam stos PHP, ten sam obiekt cache jeśli produkcja go ma, te same wtyczki consent (Axeptio, Tarteaucitron, Cookiebot, Complianz) i integracje CRM w trybie sandbox. Aktualizacja „od razu na żywo, bo to tylko patch” jest najkrótszą drogą do martwego formularza w poniedziałek przed VivaTech albo do wtyczki consent, która przestaje blokować GTM przed zgodą użytkownika.

Po wgraniu łatek na kopii testowej idzie checklista, nie wyczucie. Logowanie wp-admin, zapis strony, formularz kontaktowy z polem SIRET, wersje FR/EN w WPML, cron, poczta wychodząca, webhooki CRM, purge cache po publikacji oferty kampanijnej. Dopiero po tym produkcja. Ścieżka wycofania jest zapisana zanim ktokolwiek naciśnie deploy: która kopia, który tag, kto ma dostęp do hostingu. Jeśli tego nie ma na piśmie, to nie ma rollbacku, tylko improwizacja.

#Kopie operacyjne to nie archiwum compliance

Codzienna kopia WordPressa służy do odtworzenia serwisu po błędzie albo ataku. Archiwum compliance dotyczy czego innego: rejestrów przetwarzania, dowodów audytowych i możliwości wglądu organu nadzorczego. Kopia w panelu OVH albo Scaleway nie spełnia wymogów archiwum sama z siebie. Brakuje niezmienności, kompletności i dokumentacji procedury.

W praktyce utrzymania rozdzielamy trzy warstwy. Pierwsza: kopia operacyjna strony i bazy, z retencją zapisaną w runbooku, testem odtworzenia, nie tylko „backup job zielony”. Druga: logi zmian i incydentów, które pokazują kto, kiedy i co wgrał. Trzecia: archiwum compliance u klienta, zwykle w DMS albo u doradcy prawnego w Paryżu albo w La Défense. Po połączeniu tych trzech warstw w jednym katalogu FTP po dwóch latach nikt nie odtworzy, która kopia odpowiadała której wersji serwisu.

#WAF, monitoring i dziennik pod audyt

WAF (mod_security, Cloudflare WAF albo reguły u hostera) odcina typowe skany i wstrzyknięcia, zanim dotrą do PHP. To nie zastępuje aktualizacji. To kupuje czas. Skan malware i kontrola integralności plików łapie to, co WAF przepuścił albo co weszło skradzionym hasłem. Dwuskładnikowe logowanie do wp-admin i ograniczenie liczby kont z uprawnieniem administratora są tańsze niż forensics po kradzieży sesji.

Dziennik incydentów jest równie ważny jak sama tama. Zapis: czas wykrycia, czas ograniczenia, czas przywrócenia, przyczyna, lista zmienionych plików i wtyczek, kto był powiadomiony. Dla właściciela fintechu z Station F, korporacji z La Défense albo marki premium z 8. arrondissement ten plik jest surowcem do zgłoszenia. Agencja WordPress nie składa raportu do CNIL za klienta. Dostarcza oś czasu, której klient nie musi rekonstruować z pamięci.

#Paryż jako kontekst, nie jako ozdobnik w tytule

Paryż to stolica Francji, siedziba CNIL przy rue de la Fondation-Poujoulant w 15. arrondissement, centrum korporacyjne La Défense i największy hub startupowy Europy Station F w 13. arrondissement. To nie jest Lyon life sciences ani Marsylia portowa. Tu serwis WordPress często obsługuje landingi inwestorskie, portale produktowe fintechów, strony employer branding dla korporacji z Métropole du Grand Paris albo katalogi marek premium, które muszą przeżyć wdrożenie w tym samym tygodniu, w którym prawnik pyta o hosting w UE i zgodę CNIL na pliki cookie.

#La Défense, Station F i zamrożenie wdrożeń

La Défense to największy biznesowy dystrykt w Europie. Setki siedzib korporacji, banków i firm doradczych tworzą kontekst, w którym WordPress trzyma landingi produktowe, formularze demo, blogi techniczne i strony employer branding dla firm, które właśnie zamknęły rundę albo przygotowują kampanię B2B na rynek francuski i europejski. Awaria strony w środku tygodnia VivaTech albo targów Porte de Versailles to nie „bug do backlogu”. To utracone leady i reputacja u partnerów, którzy mają pełny kalendarz spotkań na cały kwartał.

Station F gromadzi setki startupów pod jednym dachem w 13. arrondissement. WordPress w tym ekosystemie to landing produktowy, blog techniczny albo strona spin-offu, która zbiera zapytania i musi respektować francuską Loi Informatique et Libertés oraz wytyczne CNIL. Opieka, która testuje tylko homepage, tego nie widzi. Opieka z runbookiem obejmującym formularze, logi zgód i wersje FR/EN widzi.

Runbook opieki dla klientów Paryżu ma wpisane zamrożenie wdrożeń produkcyjnych na okno VivaTech, targów Porte de Versailles i kampanii B2B w La Défense, zwykle od dwóch tygodni przed wydarzeniem do tygodnia po zakończeniu. Aktualizacje krytyczne bezpieczeństwa przechodzą przez środowisko testowe i okno nocne, reszta czeka. To nie preferencja developera. To decyzja operacyjna uzgodniona z klientem przed sezonem. Kto robi „drobny patch cache” w poniedziałek VivaTech, uczy się tego na własnej skórze, kiedy serwis nie wytrzymuje skoku ruchu z telefonów uczestników.

#Luxury, fintech i inne profile niż korporacja

Paryski rynek luxury wymaga stron, które ładują się szybko na urządzeniach mobilnych w salonach przy Champs-Élysées i Avenue Montaigne. WordPress obsługuje katalogi kolekcji, lookbooki sezonowe, landingi kampanii i treści wielojęzyczne FR/EN dla klientów z całej Europy. Awaria po aktualizacji wtyczki galerii albo regresja w tłumaczeniach FR/EN boli w tygodniu pokazu mody, nie w styczniu.

Fintech z Station F albo z ekosystemu Paris Fintech Forum to inny profil. Więcej landingów SaaS, więcej formularzy rejestracji beta, więcej integracji z CRM i więcej treści wielojęzycznych FR/EN dla firm, które sprzedają do całej Unii. WordPress musi przeżyć skok ruchu po ogłoszeniu nowej rundy finansowania, a nie tylko wyglądać dobrze na laptopie w biurze przy La Défense.

Sektor korporacyjny w aglomeracji paryskiej generuje jeszcze inny profil: portale inwestorskie, formularze zapytania ofertowego, strony dystrybutorów i treści FR/DE dla klientów transgranicznych z Niemiec albo Belgii. WordPress musi przeżyć skok ruchu po ogłoszeniu wyników kwartalnych, a nie tylko wyglądać dobrze na laptopie w biurze przy La Défense.

#WordPress Paris i społeczność techniczna w aglomeracji

Paryż ma aktywną społeczność WordPress: meetupy WordPress Paris, wydarzenia w Station F i coroczne WordCamp Europe, które w 2022 odbyło się w centrum kongresowym Porte de Maillot. To nie jest ozdobnik w treści marketingowej. To sygnał, że lokalni klienci znają ekosystem: pytają o Gutenberg, o FSE, o headless z Astro albo Next.js, o wtyczki consent zgodne z CNIL. Opieka techniczna, która odpowiada tylko „aktualizujemy wtyczki”, traci wiarygodność u CTO ze Station F, który sam siedzi na Slacku Make WordPress i czyta changelog rdzenia.

W praktyce oznacza to, że runbook opieki w Paryżu musi rozumieć nowoczesny stos WordPress: blokowy motyw FSE albo klasyczny z ACF, WPML albo Polylang, wtyczki consent francuskie, integracje z Salesforce common w La Défense, HubSpot w startupach, Stripe w fintech. Developer, który utrzymuje stronę, powinien umieć przeczytać diff wtyczki i powiedzieć, czy patch dotyka endpointu REST używanego przez frontend headless. To nie jest rola helpdesku hostingowego.

#Wielojęzyczność FR/EN i rynek transgraniczny

Firmy w Paryżu sprzedają poza Francję. WordPress z WPML albo Polylang obsługuje wersje FR/EN/DE dla korporacji z klientami w Belgii, Niemczech i w Europie Środkowej. Opieka techniczna musi testować regresję na każdej wersji językowej, nie tylko na domyślnej francuskiej. Aktualizacja WPML potrafi zepsuć hreflang, slugi URL albo tłumaczenia pól ACF. Checklista regresji obejmuje: przełączenie języka w menu, formularz kontaktowy w EN, stronę prawna w FR, mapę XML z poprawnymi hreflang.

Dla polskich zespołów utrzymujących serwis w Paryżu wielojęzyczność to też kwestia operacyjna. Redaktor po stronie klienta publikuje ofertę kampanijną we wtorek rano w Paryżu. Polski developer robi deploy w poniedziałek wieczorem. Jeśli środowisko testowe nie odzwierciedla harmonogramu publikacji we wszystkich językach, produkcja serwuje starą treść albo pustą stronę w DE. Runbook opieki ma wpisane okno publikacji kampanii i freeze aktualizacji wokół niego.

#Operacje specyficzne dla Francji i UE

Polski zespół zna WordPressa. Francuski klient pyta o coś innego: gdzie leżą dane, czy serwer jest „w Unii Europejskiej”, jak długo trzymamy logi, kto jest administratorem danych, czy mamy Data Processing Agreement. Te pytania trzeba umieć obsłużyć procesem, nie sloganem o „zgodności z RODO”.

#RODO i francuska CNIL

Francja stosuje RODO (GDPR) oraz krajową ustawę Loi Informatique et Libertés. Organ nadzorczy to Commission Nationale de l’Informatique et des Libertés (CNIL), z siedzibą w Paryżu przy rue de la Fondation-Poujoulant. Dla WordPressa w Paryżu wynika z tego konkretny zakres utrzymania: lista podprocesorów (host, CDN, poczta, analityka), umowa powierzenia tam, gdzie agencja przetwarza dane, procedura naruszenia w 72 godziny, minimalizacja danych w formularzach, politique de confidentialité zgodna z art. 13 RODO.

Utrzymanie nie zastępuje DPO klienta. Dostarcza logi, oś czasu i opis zmian po incydencie. Klient klasyfikuje, czy zdarzenie wymaga zgłoszenia do CNIL. Nikt po stronie agencji nie podpisuje się pod „jesteście zgodni z RODO, bo macie WAF”. CNIL publikuje rekomendacje dotyczące plików cookie i trackingu na cnil.fr; runbook opieki powinien być z nimi zgodny co do tego, co agencja dokumentuje, a co zostaje po stronie administratora danych.

Przy incydencie z danymi osobowymi art. 33 RODO daje administratorowi 72 godziny na zgłoszenie do CNIL, o ile naruszenie może wiązać się z ryzykiem dla praw osób. Dlatego dziennik z opieki musi mieć datę pierwszej wiedzy, nie datę „kiedy developer wrócił z urlopu”.

#Hosting w UE

Dane osobowe pod RODO ciągną pytanie: w której jurysdykcji stoi serwer. OVH we Francji, Scaleway w Paryżu, AWS w Irlandii (eu-west-1), Hetzner w Niemczech, Claranet w aglomeracji paryskiej to różne odpowiedzi dla compliance officer, ale wszystkie mieszczą się w UE. Ashburn albo Hillsboro to Stany i zwykle veto bez Standard Contractual Clauses albo innej podstawy transferu.

Pytanie „czy hosting jest w Paryżu” wraca rzadziej niż „czy w UE”. Odpowiedź operacyjna jest dwuczęściowa. Jurysdykcja: UE, kopia nie wyjeżdża nocą na bucket w regionie US bez uzgodnienia. Latencja: origin we Francji albo Irlandii plus CDN z terminałem TLS w UE zwykle wystarcza dla użytkowników Paryżu i w Europie Środkowej. Decyzja rezydencji trafia do runbooku, a nie do hasła „hosting w Paryżu”.

#Cookie banner, consent i francuskie oczekiwania

Francuski rynek jest wyczulony na cookie i tracking. Wytyczne CNIL wymagają świadomej zgody przed nieistotnymi plikami cookie. Wtyczki consent (Axeptio, Tarteaucitron, Cookiebot, Complianz) integrują się z GTM i Meta Pixel. Aktualizacja motywu albo wtyczki cache potrafi wyłączyć blokowanie skryptów do momentu, kiedy CNIL albo klient zauważy, że analityka leci przed zgodą. W opiece kwartalny przegląd bannera i tagów na kluczowych szablonach jest częścią runbooku, nie dodatkiem SEO. Politique de confidentialité i politique des cookies są szablonami z polami, nie blokami, które redaktor może usunąć z drzewa.

#Formularze B2B, SIRET i integracje CRM

Formularze kontaktowe B2B to najczęstszy punkt integracji dla firm z La Défense i fintechów ze Station F. W praktyce oznacza to podłączenie WordPressa do CRM (HubSpot, Pipedrive, Salesforce), walidację pól zgodną z RODO, pole SIRET tam, gdzie wymaga tego rynek francuski, i limitowanie zapytań na endpointach publicznych. Webhooki i status formularza muszą przeżyć aktualizację wtyczki. Fintech ze Station F, który po patchu traci log zgód CNIL, produkuje incydent compliance, nie ticket UX.

#DPA, podprocesorzy i rola klienta jako administratora danych

Umowa powierzenia przetwarzania (DPA) między klientem a agencją opieki musi wymieniać podprocesorów: OVH, Scaleway, Cloudflare, SendGrid, Mailjet, Google Analytics (jeśli w ogóle), HubSpot, Salesforce. Lista nie jest dekoracyjna. CNIL pyta o nią przy audycie. Opieka techniczna dokumentuje, które wtyczki ładują skrypty zewnętrzne, które wysyłają dane poza UE i które endpointy REST są publiczne.

Administrator danych to klient, nie agencja. Agencja dostarcza opis techniczny incydentu: które tabele bazy dotknięte, jakie pola formularza wyciekły, czy logi zawierają adresy IP i timestamp zgód cookie. Klient decyduje o zgłoszeniu do CNIL w 72 godziny. Runbook opieki ma szablon post-mortem z polami wymaganymi przez art. 33 RODO, ale nie zastępuje doradcy prawnego w Paryżu.

#Dostarczalność poczty i formularze w francuskim stacku

Formularz kontaktowy B2B, który nie dociera do skrzynki sales@ w La Défense, jest gorszy niż brak formularza. WordPress wysyła pocztę przez wp_mail, SMTP (Mailjet, Brevo, SendGrid) albo API. Aktualizacja wtyczki SMTP albo zmiana rekordów SPF/DKIM/DMARC po migracji DNS potrafi uciąć dostarczalność na tydzień, zanim ktoś zauważy. Opieka techniczna obejmuje test wysyłki formularza po każdej aktualizacji wtyczki formularza albo SMTP, plus monitoring bounce rate jeśli klient ma dostęp do logów poczty.

Francuski rynek ma też oczekiwania co do języka komunikatów błędów formularza i potwierdzeń wysyłki. Walidacja SIRET, kod pocztowy francuski, format telefonu +33: to nie kosmetyka. To redukcja porzuceń formularza i mniej fałszywych leadów CRM.

#Reakcja na incydent bez pustych procentów

Obietnica dostępności zapisana procentem na stronie city to ozdobnik, nie kontrakt. Dostępność wynika z hostingu, DNS, CDN, wtyczek i ludzi. Opieka opisuje procedurę, nie talizman.

Wykrycie: monitoring syntetyczny plus alert z WAF albo z hosta. Triage: czy to treść, czy formularz B2B, czy wp-admin, czy cała produkcja, czy wyciek oferty przed VivaTech. Ograniczenie: tryb konserwacji, cofnięcie wtyczki, wyłączenie endpointu, rotacja haseł, twardy WAF, purge cache. Odtworzenie z kopii, jeśli pliki są spalone. Dokumentacja osi czasu. Post-mortem z przyczyną i z działaniem, które ma nie powtórzyć się za miesiąc.

Czas pierwszej odpowiedzi zapisujemy w umowie. W dniach roboczych priorytet zwykle zamyka się w oknie godzin, nie dni. Dyżur poza tym oknem jest wtedy, gdy umowa go obejmuje. Przy freeze VivaTech albo targów Porte de Versailles okno bywa szersze niż w zwykłym miesiącu, bo koszt martwego landingu w tygodniu kampanii B2B jest wyższy niż koszt dyżuru.

#Przypadek: aktualizacja wtyczki consent przed VivaTech

Serwis B2B na WordPressie, landing pod VivaTech, formularz demo z integracją HubSpot i polem SIRET, treść zaplanowana na wtorek 8:00, dwa tygodnie przed otwarciem targów Porte de Versailles. W kolejce do produkcji leżała aktualizacja wtyczki consent (Axeptio) plus patch wtyczki cache, „drobny, na żywo, bo to tylko consent”.

Na środowisku testowym, sklonowanym z produkcji razem z ofertami w stanie „szkic”, publikacja o 8:00 serwowała wersję demo z poprzedniego kwartału. Przyczyna: zmiana kolejności enqueue po patchu consent, GTM ładował się przed bannerem, a motyw wołał get_post bez sprawdzenia statusu future. Na produkcji ten sam zestaw poszedłby w niedzielę wieczorem. Landing wyszedłby przed terminem, formularz zbierałby dane bez zaktualizowanej politique de confidentialité, a wtorkowy ruch z newslettera do partnerów trafiłby w 404 po panicznym cofnięciu wpisu.

środowisko testowe zatrzymał promocję. wycofanie zmian na kopii testowej potwierdził, że sama wtyczka cache jest niewinna, gdy consent nie blokuje skryptów marketingowych. Checklista publikacji (szkic, future, formularz, purge, URL w newsletterze, cookie banner, log zgód) przeszła, dopiero potem produkcja. Bez kopii zostałby post-mortem i rozmowa z prawnikiem o wycieku danych pod RODO.

#Przypadek: regresja WPML po aktualizacji rdzenia przed publikacją wyników kwartalnych

Korporacja z La Défense, portal inwestorski na WordPress z WPML (FR/EN/DE), sekcja „Résultats trimestriels” publikowana w piątek po zamknięciu giełdy. W środę wieczorem auto-update rdzenia WordPress wszedł na produkcję bez stagingu, bo poprzedni admin włączył auto-update „żeby było bezpiecznie”.

Wersja EN strony wyników pokazywała placeholder z poprzedniego kwartału. Wersja DE zwracała 404. Przyczyna: WPML 4.x nie był kompatybilny z nową wersją rdzenia bez patchu, a tłumaczenia powiązane przez icl_object_id straciły mapowanie. Produkcja wyglądała poprawnie w FR, bo to była wersja domyślna. Compliance officer sprawdził EN pierwszy.

Audyt onboardingu po przejęciu opieki wykazał brak stagingu, brak freeze wokół publikacji wyników i brak checklisty wielojęzycznej. Remediacja: środowisko testowe sklonowany z produkcji, WPML zaktualizowany na kopii, regresja FR/EN/DE przed każdą promocją, freeze aktualizacji od czwartku do poniedziałku w tygodniu publikacji wyników. Miesiąc później ten sam cykl publikacji przeszedł bez incydentu. Koszt pierwszego incydentu to nie godzina developera. To mail do regulatora giełdowego z wyjaśnieniem, dlaczego angielska wersja portalu inwestorskiego pokazywała nieaktualne dane.

#Miesięczny rytm, onboarding i przejęcie bałaganu

Onboarding to audyt, nie kick-off z prezentacją. Inwentaryzacja wtyczek, wersja PHP, cron, poczta, SSL, WAF, czy kopia w ogóle się odtwarza, gdzie stoi serwer, kto ma dostęp SFTP i do wp-admin, czy są konta-widma po agencji, która zniknęła. Baseline Lighthouse na stronie głównej i na najważniejszym formularzu B2B albo katalogu produktów. Lista ryzyk z priorytetem: najpierw to, co psuje odtworzenie i bezpieczeństwo, potem to, co psuje konwersję albo publikację.

Pierwszy cykl aktualizacji na stagingu jest częścią onboardingu, nie „bonusem w miesiącu drugim”. Jeśli stagingu nie ma, jego postawienie jest pracą startową. Serwis B2B albo fintech w Paryżu bez kopii testowej nie wchodzi w stały abonament z otwartymi auto-update.

Miesiąc stały: okno aktualizacji poza VivaTech i targami w Porte de Versailles, skan, przegląd logów WAF, test odtworzenia kopii w uzgodnionym cyklu, krótki raport. Raport ma metryki (uptime z monitoringu, błędy 5xx, czas odpowiedzi, lista wgranych wersji), decyzje (wtyczka X zostaje, wtyczka Y do wymiany) i residualne ryzyko (host poza UE, brak 2FA u redakcji, brak umowy powierzenia, cache bez reguły dla future, freeze VivaTech jeszcze nie wpisany). Bez residualnego ryzyka raport jest broszurą.

Przejęcie zaniedbanej instalacji zaczyna się od tej samej listy, tylko dłuższej. Stary PHP, wtyczka page buildera bez łatek, kopia tylko na tym samym dysku co produkcja, hasło admin we wpisie w Notion, trzy wtyczki consent naraz, formularz B2B, który pada po każdej aktualizacji WPML. Pierwszy miesiąc to remediacja. Stała opieka zaczyna się, gdy da się bezpiecznie wgrać łatki.

Budowa od zera albo przebudowa motywu to już inna usługa: programista WordPress w Paryżu. Sklep, checkout francuski i TVA: programista WooCommerce w Paryżu. Opieka nie udaje, że jest projektem wdrożeniowym.

#Wydajność przy skoku ruchu kampanii i użytkownikach z aglomeracji paryskiej

Origin w UE nie naprawi ciężkiego motywu z galeriami portfolio wideo. HTTP/3, Brotli, AVIF, lazy load, który nie psuje LCP hero, cache, który nie trzyma prywatnego formularza ani nieopublikowanej oferty kampanijnej, ograniczenie wtyczek z zapytań SQL na każdej podstronie: to nadal robota utrzymaniowa. Core Web Vitals mierzymy na realnych URL-ach z formularzami B2B, nie na pustej instalacji. INP psuje się od skryptów czatu, od widgetu mapy i od tag managera, który marketing dodał poza ticketingiem.

Dla serwisu B2B w Paryżu liczy się czas do pierwszego bajtu z sieci w aglomeracji paryskiej i w Europie Środkowej, nie tylko z telefonu przy La Défense. Monitoring z jednego regionu USA kłamie. Punkt pomiaru w UE jest częścią kontraktu operatorskiego. Przed VivaTech albo targami w Porte de Versailles idzie osobny przegląd cache, limitów PHP i CDN; po evencie idzie ścinka landingów, które mają zostać jako archiwum, i tych, które mają dostać 301.

#Core Web Vitals w praktyce utrzymania, nie tylko przy wdrożeniu

Largest Contentful Paint (LCP) psuje się od hero w pełnej rozdzielczości bez AVIF, od slidera Elementor ładującego pięć slajdów naraz, od fontów Google bez preload. Interaction to Next Paint (INP) psuje się od chat widgetu Intercom ładowanego synchronicznie, od mapy Google na każdej podstronie kontaktu, od jQuery legacy w motywie premium. Cumulative Layout Shift (CLS) psuje się od reklam bez zarezerwowanego miejsca, od lazy load bez width/height na obrazach lookbooka.

Opieka techniczna w Paryżu nie robi „audytu wydajności raz na rok”. Mierzy LCP/INP/CLS na URL-ach kampanii przed VivaTech, porównuje z poprzednim kwartałem, flaguje regresję po aktualizacji wtyczki. Lighthouse CI w pipeline deploy blokuje promocję, jeśli LCP wzrósł o więcej niż uzgodniony próg. CrUX z raportu Search Console to źródło prawdy dla rankingu, nie pojedynczy run Lighthouse z laptopa developera w Warszawie.

#Headless WordPress i storefront Astro: utrzymanie bez iluzji

Część firm w Paryżu ma WordPress jako CMS headless z frontendem w Astro albo Next.js. Opieka techniczna obejmuje wtedy dwa stosy: endpoint REST albo GraphQL WP, plus build frontendu i CDN. Aktualizacja wtyczki custom fields potrafi zepsuć mapowanie pól w Astro bez błędu w wp-admin. Runbook opieki headless ma test buildu frontendu po każdej aktualizacji WP, nie tylko „strona się ładuje w panelu”.

WPPoland buduje headless na Astro (wppoland.com to przykład). Opieka takiego stosu w Paryżu wymaga developera, który czyta TypeScript i PHP, nie tylko klikacza w panelu. To inna stawka niż hosting z auto-update, ale też inna odporność na regresje przy skali ruchu VivaTech.

#Bezpieczeństwo jako lista decyzji, nie jako plakietka

HTTPS z HSTS tam, gdzie infrastruktura to uniesie. Nagłówki ograniczające XSS. 2FA. Minimum kont administratorskich. Zakaz wtyczek „nulled”. Zakaz edytora plików wp-admin na produkcji. Rotacja haseł po odejściu freelancerów. Test odtworzenia kopii, bo kopia, której nikt nie odtwarzał, jest plikiem. Przy danych osobowych: umowa powierzenia, lista podprocesorów (host, CDN, poczta, analityka), procedura naruszenia pod RODO i Loi Informatique et Libertés.

To nie jest certyfikat ISO sprzedawany z abonamentem. To jest lista, którą da się odhaczyć przy onboardingowym audycie i wrócić do niej co kwartał. Klient z biura w La Défense, ze Station F albo z 8. arrondissement i tak przyniesie własną checklistę. Dokumentacja hardeningu WordPress jest w WordPress Developer Handbook. Opieka w Paryżu dodaje do niej kalendarz freeze VivaTech, pytanie o CNIL oraz jawny opis rezydencji w UE.

#Kwartalny przegląd dostępów i kont administratorskich

Co kwartał opieka techniczna w Paryżu robi przegląd kont wp-admin: kto ma rolę administratora, kto ma dostęp SFTP, czy są konta po byłych agencjach albo freelancerach, czy 2FA jest włączone na kontach z uprawnieniami do edycji pluginów. Korporacja z La Défense, która co roku rotuje agencje marketingowe, często ma pięć kont admin po pięciu poprzednich wykonawcach. To powierzchnia ataku większa niż brak patcha na wtyczce slidera.

Przegląd obejmuje też Application Passwords w WordPress 6.x, tokeny REST API, klucze wtyczek w wp_options i pliki .env na serwerze, jeśli frontend headless trzyma sekrety obok WordPressa. Wynik trafia do raportu kwartalnego z listą do usunięcia albo do rotacji.

#SEO techniczne w utrzymaniu, nie tylko przy starcie projektu

Opieka techniczna WordPressa w Paryżu obejmuje też warstwę SEO operacyjne: mapa XML aktualna po każdej większej zmianie struktury, robots.txt bez przypadkowego Disallow po aktualizacji wtyczki SEO, tagi canonical spójne między wersjami FR/EN, dane strukturalne FAQ i HowTo zgodne z frontmatter strony. Regresja SEO po aktualizacji Yoast albo Rank Math to częsty ticket w korporacjach, które tracą rich snippets w Google.fr na tydzień przed kampanią.

Wyszukiwanie lokalne w Paryżu wymaga spójności NAP (nazwa, adres, telefon) między WordPressem a Google Business Profile. Zmiana numeru telefonu w stopce bez aktualizacji GBP to ticket, który marketing odkłada, a SEO widzi spadek w Local Pack. Opieka może flagować rozbieżność w miesięcznym raporcie, ale decyzja o korekcie należy do klienta.

Architektura filarowa (pillar page + cluster) wymaga utrzymania linków wewnętrznych po każdej migracji URL albo zmianie slugów WPML. Redirect 301 po usunięciu landingu post-VivaTech musi trafić do .htaccess albo wtyczki redirect, zanim Google zindeksuje 404. Monitoring Search Console co miesiąc to część runbooku, nie projekt SEO raz na rok.

#Powiązane usługi w aglomeracji paryskiej

Ten sam model opieki działa w innych francuskich miastach, z tym samym runbookiem i innym kontekstem lokalnym:

• Opieka techniczna WordPress w Lyonie
• Opieka techniczna WordPress w Marsylii
• Opieka techniczna WordPress w Bordeaux

#Jak zaczynamy, bez zaliczek w procentach na stronie

Zakres, godziny reakcji i cena są indywidualne i lądują w umowie przed startem. Na tej stronie nie ma podziału płatności na transze procentowe i nie ma tabeli pakietów. Krótki opis serwisu, stacku, hostingu i tego, czy jest środowisko testowe, wystarczy, żeby zaproponować audyt onboardingu.

Kontakt: formularz. W zgłoszeniu przydaje się lokalizacja hostingu, lista wtyczek albo dostęp do stagingu, oraz informacja, czy serwis musi zostać w UE i czy w najbliższych tygodniach jest VivaTech, targi w Porte de Versailles albo szczyt kampanii B2B w La Défense. Z tego powstaje plan: co naprawiamy zanim w ogóle wejdziemy w miesięczny rytm, a co zostaje w kadencji.

Opieka w Paryżu ma sens, gdy serwis już niesie biznes i trzeba go nie zepsuć. Gdy trzeba go dopiero zbudować, wracamy do developmentu. Gdy trzeba go utrzymać przy VivaTech, formularzach B2B z polem SIRET, wersjach FR/EN oraz RODO pod CNIL, zostajemy przy tym, co ta strona opisuje: środowisko testowe, kopia, WAF, dziennik, compliance po stronie klienta, hosting w UE i runbook, który da się pokazać audytorowi bez rekonstruowania historii z pamięci.